18-08-2026 | Albagli Zaliasnik, Noticias
En los últimos años, el compliance en Chile ha dejado de ser entendido únicamente como una respuesta a las obligaciones asociadas a la responsabilidad penal de las empresas. De manera gradual, se ha consolidado como una disciplina más amplia, vinculada a la gestión integral de riesgos, la cultura ética y la capacidad de las organizaciones para anticiparse a la corrupción, el lavado de activos, la ciberseguridad, la protección de datos y la inteligencia artificial. Sin embargo, el desafío ya no consiste solo en diseñar políticas y controles, sino en lograr que estos sean conocidos, utilizados y capaces de influir efectivamente en la conducta y en la toma de decisiones.
En esta entrevista, conversamos con Yoab Bitran, director del Grupo Compliance de az —firma que representa a ComplianceLatam en Chile—, abogado de la Universidad de Chile y especialista en compliance, regulación, gobierno corporativo y empresas. Con 15 años de experiencia en el área, Bitran ha asesorado a compañías de distintos tamaños e industrias en el diseño, implementación y evaluación de programas de cumplimiento, además de liderar procesos de transformación cultural en organizaciones que han enfrentado casos de corrupción.
Su labor lo ha posicionado como un activo promotor del liderazgo ético y las buenas prácticas en Chile y América Latina.
Desde tu experiencia, ¿cuál ha sido el desafío más complejo que has enfrentado en materia de compliance y qué aprendizajes te dejó?
Trabajar con empresas que venían saliendo de escándalos de compliance. Eso me llevó a aprender que en materia de compliance y cultura ética los cambios muchas veces son graduales y de largo plazo. Si un líder de compliance inhouse viene con la idea de hacer cambios sustantivos de forma abrupta, es muy posible que termine perdiendo apoyo y siendo visto como una amenaza disruptiva para el negocio por sus pares. Se trata de evolución, no de revolución. Para poder liderar cambios sustantivos hay que construir confianza, generar aliados, capital político y —muy importante— saber elegir qué batallas dar.
Hoy lideras el área de compliance en az. ¿Cómo definirías el rol que debe cumplir un profesional de compliance dentro de las organizaciones?
Aunque suene obvio y se repita bastante, un profesional de compliance debe ser ante todo un partner estratégico del negocio. En el momento en que empieza a ser percibido como un sheriff, su efectividad se ve negativamente impactada. Si se empieza a evitar o bypassear al líder de compliance, será imposible tener un lugar en las mesas en que se toman decisiones relevantes.
¿Cómo evalúas hoy la madurez del compliance en Chile, más de quince años después de la Ley 20.393? ¿Qué ha cambiado de verdad en el mercado?
Pienso que el principal cambio es que compliance, aunque aun lentamente, ha empezado a entenderse como en países más desarrollados en esta materia. Esto es, lejos de quedarse en la Ley de Delitos Económicos, sino como una disciplina integral y holística, que permite gestionar y mitigar desde riesgos que podemos denominar “tradicionales” —como corrupción o lavado de activos— hasta riesgos vinculados con la económica digital, como ciberseguridad o la IA.
¿Cuál dirías que es hoy el principal punto débil de los programas de compliance en Chile?
En general, el principal punto débil es el que la regulación local e internacional le otorga la mayor relevancia: la efectividad. Todavía se observan muchos documentos de compliance que prácticamente nadie en la empresa conoce, ni menos utiliza. Muchas capacitaciones que se hacen por cumplir y no tienen ningún impacto en términos de comportamiento. Muchos canales de denuncia en que nadie confía. Y acá hay un deber de los directorios, vinculado a su deber de cuidado o diligencia. Por supuesto no pueden estar en el día a día, pero sí deben poder estar tranquilos de que la organización cuenta con un programa de compliance efectivo.
Si una empresa quiere fortalecer su cultura de cumplimiento en serio, ¿por dónde debería empezar?
Lo primero es medir. Entender dónde estamos parados. Hoy existen herramientas y marcos muy sólidos que permiten medir cultura ética combinando aspectos cuantitativos y cualitativos. Luego, en base a los resultados, se definen y priorizan estrategias dirigidas. Un ejemplo siempre importante es la estructura de incentivos. Es clave compensar el qué y el cómo.
Nuevos riesgos y desafíos
Además de compliance, has desarrollado una sólida experiencia en protección de datos y ciberseguridad. ¿Por qué consideras que estas materias están cada vez más conectadas?
Porque comparten herramientas de gestión: políticas, procedimientos, capacitaciones, debida diligencia, etcétera. Y, aún más importante, comparten objetivo: construir y sostener una cultura ética, que permite mitigar diversos riesgos. Una cultura de protección de datos, de ciberseguridad, de prevención de corrupción y lavado de activos, una cultura libre de acoso y más.
Chile tiene sectores con exposiciones de riesgo muy específicas, como minería, litio e infraestructura concesionada. ¿Cuáles son hoy los principales desafíos de compliance en esos sectores?
Los principales desafíos actuales están vinculados a terceras partes, a la cadena de suministro. En primer lugar, está la reciente regulación de la Unión Europea en la materia. Esto es especialmente relevante para filiales de empresas europeas en Latinoamérica, así como empresas latinoamericanas con presencia en Europa. Luego está el foco del Departamento de Justicia (DOJ) de los EE.UU. en los carteles y su designación como organizaciones terroristas. Y, por último, la propia Ley de Delitos Económicos chilena incorpora la responsabilidad penal de las empresas por delitos cometidos por terceros que gestionen asuntos de la organización.
La protección de datos personales está experimentando importantes cambios regulatorios en la región. ¿Qué desafíos visualizas para las empresas en los próximos años?
Los principales desafíos no están en lo técnico. No es complejo adquirir o licenciar sistemas y tecnologías que permitan estar mejor protegidos. En esta materia, el eslabón más débil de la cadena continúa siendo el humano. La gran mayoría de las filtraciones se producen por errores humanos. Por ejemplo, porque alguien compartió información sensible de manera negligente, fue irresponsable con una clave o porque hizo click en un enlace vinculado a phishing. Entonces, el principal desafío es la concientización y cambio de cultura en materia de protección de datos personales.
¿Qué papel está jugando la inteligencia artificial en los programas de cumplimiento y qué riesgos de compliance estás viendo asociados a su uso?
Desde compliance, la IA tiene esta doble perspectiva. Por una parte, utilizarla (responsablemente) en un programa de compliance es fundamental a la hora avanzar en eficacia y eficiencia. Diría que no utilizarla en algunos procesos y controles, incluso atenta contra la efectividad del modelo. Pensemos por ejemplo en procesos de due diligence en compliance, nadie imaginaría privarse de herramientas y soluciones que hagan retroceder muchos años, cuando todo era manual.
Por otra parte, están los riesgos al uso de IA sin gobernanza. Sabemos que existen riesgos importantes en materia de sesgos, protección de datos, propiedad intelectual, opacidad y falta de trazabilidad (“caja negra”), entre otros.
La clave está en avanzar con estrategia, gobernanza y supervisión humana, mitigando riesgos sin obstaculizar ni desaprovechar las enormes oportunidades que ofrece la IA.
¿Qué valor aporta una plataforma digital y red regional como ComplianceLatam en un contexto donde los riesgos, regulaciones y desafíos trascienden las fronteras de cada país?
ComplianceLatam permite a líderes de áreas legales y de compliance de organizaciones de toda la región, EE.UU. y España, acceder a contenido de primer nivel, compartir mejores prácticas, aprender de pares y referentes, y contribuir con ideas, opiniones y experiencia a un propósito muy noble.
Para más información sobre la plataforma, escríbenos a contacto@compliancelatam.legal.
14-08-2026 | Albagli Zaliasnik, Noticias
A cuatro meses de su entrada en vigor, la Ley 21.719 obliga a las organizaciones a reforzar la gobernanza de los datos personales, gestionar los riesgos asociados a la inteligencia artificial y prepararse para un nuevo escenario de fiscalización.
El próximo 1 de diciembre de 2026 entrará en vigor en Chile la nueva Ley de Protección de Datos Personales (Ley 21.719), que reemplazará a la Ley 19.628 y elevará significativamente las exigencias para las organizaciones que recopilan, almacenan y utilizan información personal. La norma refuerza los derechos ARSOP de los titulares (acceso, rectificación, supresión, oposición y portabilidad), incorpora obligaciones de trazabilidad y crea una Agencia de Protección de Datos Personales con facultades fiscalizadoras.
Ese es el marco legal. La pregunta ahora es otra: ¿están realmente preparadas las empresas chilenas para la entrada en vigor de la nueva ley?
Según Yoab Bitran, director del Grupo Compliance de az, la mayoría de las empresas chilenas todavía está trabajando en identificar y corregir las brechas de sus procesos internos. Los sectores regulados, especialmente el financiero y el de salud, están más avanzados en algunas de las obligaciones que establece la nueva normativa. En el resto de las organizaciones, afirma el vocero, el trabajo se encuentra todavía en una etapa inicial y el objetivo es llegar a la entrada en vigor con los aspectos básicos resueltos.
“Si bien no es una obligación directa de la normativa de datos personales, el mapeo de los datos personales que procesan es un insumo valioso dentro de las organizaciones, ya que permite identificar los tipos de datos personales que se usan y sobre ello, adoptar medidas para corregir eventuales riesgos en el uso de esta información. Muchas de estas acciones permiten responder a obligaciones que se encuentran en la ley. Sin duda, el resguardar el ejercicio de derechos de los titulares (ARSOP) es un tremendo desafío para cumplir en tiempo y forma”, subraya.
Agencia y liderazgo regional: los dos desafíos de Chile
La idea de que el mercado debería estar preparado porque la ley fue publicada hace dos años no refleja la realidad. Para algunas organizaciones, adaptar los procesos de recolección, almacenamiento y uso de datos personales supone un cambio de cultura que recién comienza.
A ello se suma la instalación de la Agencia de Protección de Datos Personales, que tendrá a su cargo la fiscalización del nuevo régimen. Sin embargo, la conformación de su Consejo Directivo avanza más lento que el calendario original, lo que podría llevar a que la nueva autoridad termine de instalarse casi al mismo tiempo en el que entran en vigor las obligaciones que deberá supervisar.
Bitran menciona que la industria y el sector público esperan que la agencia cumpla un rol orientador e impulse una cultura de protección de datos en un país donde, pese a la existencia de una ley vigente, el tratamiento de la información personal no siempre ha recibido la atención que exige la reforma.
“Se espera que, cuando se instale, pueda dar algunos lineamientos y respuestas a interrogantes que no fueron resueltas del todo en la normativa aprobada, antes de que parta con un proceso de fiscalización, similar a la experiencia internacional, por ejemplo, Brasil”, comenta.
A su juicio, una vez superada esa primera etapa, la agencia deberá avanzar en procesos de fiscalización, especialmente en sectores con prácticas comerciales agresivas que podrían no ajustarse al nuevo régimen de protección de datos.
En el contexto regional, Chile parte con ventaja. Juan Pablo González, director de Nuevas Tecnologías e IA de az, considera que la actualización normativa permite al país avanzar de forma rápida hacia los primeros lugares de América Latina.
“Sin perjuicio de ello, mucho dependerá de la capacidad de aplicar la normativa aprobada. Chile no cuenta con una normativa específica de inteligencia artificial y, a pesar de que se encuentra en tramitación un proyecto en la materia, existen varias voces que consideran necesario avanzar en materias previas a tener una regulación madura de una tecnología como IA. Este análisis de elementos previos ha sido reflejo de lo sucedido en Europa, con el aplazamiento de algunas obligaciones del Reglamento Europeo de IA y algunas modificaciones que se desean aprobar en la normativa sobre protección de datos personales, especialmente, en favor de las pequeñas y medianas empresas”, explica.
Riesgos de la inteligencia artificial en las empresas
Mientras las empresas se preparan para cumplir con la nueva normativa de protección de datos, la inteligencia artificial abre un desafío que ya no es solo un asunto del área de sistemas. Según el último informe de la consultora de gestión global McKinsey, el 78% de las corporaciones usa activamente IA generativa en sus procesos de negocio, y esa adopción masiva convirtió a los algoritmos en un vector de riesgo operacional, reputacional y regulatorio al mismo tiempo.
Cifras globales del Cost of a Data Breach Report 2025 de IBM advierten que la adopción de la IA supera las medidas de seguridad y gobernanza corporativa:
- El 13% de las compañías ya reportó brechas de seguridad vinculadas a aplicaciones de inteligencia artificial.
- El 97% de las firmas vulneradas no contaba con políticas de acceso a sus modelos.
- Un 8% no estaba seguro de si sus sistemas de IA habían sido vulnerados.
- El costo promedio de una brecha asociada a IA alcanza los US$670.000.
A eso se añade el fenómeno conocido como Shadow AI, que consiste en el uso informal de herramientas de inteligencia artificial por parte de colaboradores sin autorización ni supervisión de la organización, y que convierte la protección de datos en un asunto inseparable de la gobernanza tecnológica.
En Chile, el escenario se agrava con una cifra local: en 2025 el país enfrentó cerca de 8,8 billones de intentos de ciberataque, y un 16 % de las brechas de datos ya son perpetradas por ciberdelincuentes que usan IA para potenciar sus ofensivas.
En este escenario, el marco regulatorio chileno se articula en torno a dos normas que comienzan a dialogar entre sí. Por un lado, la Ley Marco de Ciberseguridad (Ley 21.663) exige a los operadores de importancia vital estándares estrictos de gestión de riesgos y el reporte de incidentes en plazos acotados. Por otro, la Ley 21.719 endurece las sanciones por el tratamiento indebido de datos personales, un aspecto relevante si se considera que muchos sistemas de inteligencia artificial se entrenan con información sensible que debe ser sometida a otras medidas de protección antes de ser utilizada.
Cumplimiento y gobernanza, hoja de ruta para las empresas
El desafío, sin embargo, no termina en el contenido de las normas. Para llevar este nuevo escenario a la operación diaria, las empresas tendrán que revisar cómo gestionan la información y toman decisiones sobre el uso de nuevas tecnologías. Se trata de un cambio de método que va más allá de actualizar políticas internas.
Bitran plantea que, aunque el mapeo de datos personales no es una obligación explícita de la Ley 21.719, se ha convertido en un insumo clave para cualquier organización que quiera anticiparse a los riesgos y cumplir con las nuevas exigencias. En ese sentido, plantea acciones para un diagnóstico técnico con gobernanza corporativa:
- conocer en qué procesos la organización trata datos personales;
- identificar qué sistemas de inteligencia artificial utiliza y para qué fines;
- definir controles de acceso, cifrado en tránsito y en almacenamiento;
- actualizar políticas, procedimientos y cláusulas contractuales con proveedores;
- redefinir roles y responsabilidades dentro de la organización para gestionar el riesgo.
González, por su parte, recomienda instalar comités multidisciplinarios, donde los tomadores de decisión discutan de forma temprana los riesgos asociados al uso de IA, y sumar métricas que permitan medir el desempeño de la tecnología en casos de uso específicos, algo que a su juicio termina siendo la diferencia entre adoptar IA con control o adoptarla a ciegas.
“Esto, sin duda, le permitirá a una organización integrar de manera exitosa este tipo de tecnología, así como tener resultados medibles, especialmente en procesos que pueden resultar críticos, definido al apetito por riesgo de la organización”, añade.
Regulación de inteligencia artificial
Mientras la aplicación de la Ley 21.719 avanza sobre un marco normativo ya definido, la regulación de la inteligencia artificial en Chile todavía se encuentra en discusión. El Ejecutivo presentó en el Senado un proyecto de Ley Marco de IA, inspirado en el Reglamento Europeo de Inteligencia Artificial, que clasifica los sistemas según sus niveles de riesgo.
El director de Nuevas Tecnologías e IA de az ha seguido de cerca esta discusión y plantea que el modelo europeo no necesariamente responde a las necesidades específicas de Chile.
“Este marco responde a ciertos tipos de riesgos de IA, que no necesariamente son los mismos que necesitamos regular en Chile, en particular, casos de uso. En ese sentido, la industria levantó varios puntos a tener en consideración para la discusión parlamentaria, buscando que se focalice en los incentivos para el avance de una industria de desarrollo de IA, regulando usos más que la tecnología en sí misma. El objetivo principal es evitar una regulación que restrinja el desarrollo tecnológico”, sostiene.
La experiencia europea se ha convertido en uno de los principales argumentos de quienes piden revisar el alcance y los tiempos de la propuesta chilena. El aplazamiento de algunas obligaciones del reglamento europeo ha puesto de relieve las dificultades de implementar un marco regulatorio complejo sin que las empresas y las autoridades cuenten con el tiempo suficiente para adaptarse.
González indica que la discusión de fondo está en si la regulación debe centrarse en la tecnología o en los usos que se hacen de ella. La decisión determinará qué empresas estarán sujetas a mayores exigencias y bajo qué criterios. Por eso, el sector legal corporativo sigue de cerca la tramitación del proyecto, que establecerá las reglas para el desarrollo y uso de la inteligencia artificial en Chile.
Impacto en las pymes
El impacto para las empresas más pequeñas es uno de los puntos que genera mayor preocupación. Si el proyecto de Ley Marco de IA mantiene la clasificación de los sistemas según su nivel de riesgo, las compañías podrían enfrentar nuevas exigencias, como sistemas de gestión de riesgos, evaluaciones periódicas, documentación técnica, supervisión humana y estándares de ciberseguridad, precisión y solidez técnica. La pregunta es cómo podrán asumirlas las pymes.
“Una de las alertas que se levantaron en la discusión es que estos cambios pueden ser soportados por las grandes empresas, pero para las pymes estas obligaciones pueden conllevar costos que no son soportados por la incorporación temprana dentro de la organización, en un entorno en que existen diversos requerimientos regulatorios. Finalmente, el proyecto de ley no establece ningún sistema de apoyo para este segmento de industria”, resalta Bitran.
El proyecto, tal como se discute actualmente en el Senado, no contempla una diferencia entre una multinacional y una pyme a la hora de asumir obligaciones en materia de gestión de riesgos, documentación técnica y ciberseguridad. En protección de datos personales, en cambio, la Ley 21.719 sí estableció un período de adaptación para las empresas de menor tamaño, que durante el primer año de vigencia solo estarán expuestas a amonestaciones y no a multas. En materia de inteligencia artificial, por ahora, esa diferencia no existe.
Pese a las dificultades, ambos voceros de az coinciden en que las empresas que se anticipen tendrán una ventaja. Bitran considera que incorporar la inteligencia artificial de manera temprana, identificando sus riesgos y analizándolos con las distintas áreas de la organización, permite aprovechar mejor la tecnología y reducir la exposición a incidentes que pueden traducirse en pérdida de reputación, tiempo y sanciones.
El desafío para Chile será mantener el avance alcanzado en protección de datos personales y, al mismo tiempo, construir una regulación de inteligencia artificial que tome en cuenta las particularidades del país. En esa discusión, las pymes aparecen como uno de los principales puntos pendientes.
Autor: Gunther Félix | Fuente: LexLatin (30 de julio de 2026)
Para más información, escríbenos a contacto@compliancelatam.legal.
14-07-2026 | CPB, Opinión
Por Martín Alegría, Senior Legal Manager en Xiaomi
El sector de la tecnología, la Inteligencia Artificial de las Cosas (AIoT) y la conectividad móvil en Perú experimenta una transformación sin precedentes. Para las corporaciones globales de vanguardia tecnológica respaldadas por capitales asiáticos, mantener el liderazgo implica operar bajo un modelo híbrido de alta complejidad: el canal B2B (grandes operadores, retailers y socios estratégicos) y el canal B2C (atención directa al consumidor final).
En este dinámico escenario, los gerentes legales y de compliance en la región hemos evolucionado: nuestra misión ya no se limita a la gestión reactiva de riesgos normativos; nos hemos consolidado como socios estratégicos que habilitan el crecimiento sostenible, integrando los exigentes estándares globales de gobierno corporativo de nuestra matriz con las particularidades regulatorias y las dinámicas comerciales del mercado peruano.
Sinergia corporativa: integrando estándares globales y realidad local
Las multinacionales tecnológicas con casa matriz en Asia se caracterizan por una cultura de alta eficiencia,
innovación acelerada y una infraestructura de control de riesgos fuertemente digitalizada y centralizada. Esta visión global de excelencia constituye nuestra principal fortaleza.
El reto estratégico del liderazgo legal local radica en la “arquitectura de adaptación”: asegurar que estos avanzados sistemas de gobernanza corporativa se acoplen perfectamente con el marco regulatorio peruano (como el sistema de responsabilidad administrativa de las personas jurídicas y la normativa de libre competencia). Lejos de una aplicación rígida, el éxito de nuestra gestión se basa en la capacidad de canalizar la rigurosidad ética y operativa de la matriz, implementando programas de cumplimiento locales que garanticen una debida diligencia de vanguardia en toda nuestra cadena de valor.
Gestión de cumplimiento en modelos comerciales duales
Operar simultáneamente en los frentes corporativo y de consumo masivo exige una matriz de cumplimiento sofisticada, diseñada para mitigar los riesgos inherentes a los canales de distribución externos:
Excelencia operativa en el canal B2B
En el ámbito corporativo, la comercialización de grandes volúmenes de dispositivos y soluciones tecnológicas requiere un entorno de absoluta transparencia y seguridad jurídica.
- Fortalecimiento de la cadena de suministro: implementamos procesos de debida diligencia (due diligence) altamente rigurosos para asegurar que nuestros socios comerciales y distribuidores autorizados compartan nuestros mismos valores de integridad, ética comercial y políticas anticorrupción (anti-bribery and corruption).
- Políticas de incentivos transparentes: en un sector altamente competitivo, regulamos con precisión técnica todos los programas de estímulo comercial, garantizando que operen bajo los más estrictos principios de transparencia y respeto al Derecho de la Competencia.
Confianza y protección en el ecosistema B2C y AIoT
Cuando el usuario final interactúa con nuestros smartphones o dispositivos inteligentes para el hogar, la confianza en la marca se convierte en el activo más valioso. El cumplimiento normativo es aquí el principal garante de esa experiencia.
- Privacidad por diseño y seguridad de datos: en un entorno donde la Autoridad Nacional de Protección de Datos Personales (ANPD) vela por los derechos de los ciudadanos, garantizamos que el ecosistema AIoT cumpla de manera proactiva con los estándares de consentimiento informado y seguridad de la información, respaldados por la robusta infraestructura tecnológica global de nuestra organización.
- Liderazgo en la experiencia del consumidor: trabajamos en estrecha colaboración con las áreas de postventa y marketing para asegurar que la comunicación, la gestión de garantías y la atención al cliente superen los lineamientos del Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual (Indecopi), consolidando la reputación de la marca en el mercado.
El modelo de prevención como ventaja competitiva
En Perú, el marco de la Ley N° 30424 redefine la forma de hacer negocios. Para una empresa de tecnología líder, contar con un Modelo de Prevención del Delito (MPD) robusto y certificado no es solo un requerimiento legal, sino una credencial de confianza que presentamos con orgullo ante el sector financiero, socios estratégicos y clientes corporativos.
Frente a las externalidades y asimetrías que aún persisten en ciertos sectores del mercado tecnológico local —como la comercialización de productos no autorizados o la reparación informal por terceros—, nuestra organización se erige como un promotor clave de la formalización y las buenas prácticas. Nuestros canales de denuncia y políticas de cumplimiento actúan como un escudo protector que aísla la operación formal de cualquier riesgo del entorno.
Conclusión: el compliance como motor de innovación
El futuro del cumplimiento corporativo en el sector tech no radica en ser un freno para la innovación, sino en ser su principal habilitador seguro.
Demostrar que un programa de compliance estricto y adaptado al entorno local potencia las ventas y acelera el despliegue de tecnología es el mayor logro de una gerencia legal moderna. Al ser tan ágiles como los dispositivos que comercializamos y tan firmes como los principios éticos de nuestra matriz, aseguramos que el liderazgo actual de la empresa sea la base de su sostenibilidad y éxito en el largo plazo.
Martín Alegría, Senior Legal Manager Perú en Xiaomi
Si tienes dudas, escríbenos a contacto@compliancelatam.legal.
12-05-2026 | Albagli Zaliasnik, Noticias
Aun cuando exista habilitación legal para tratar datos personales en investigaciones por acoso laboral, el empleador debe cumplir estrictamente con los principios de confidencialidad y seguridad.
El pasado 25 de febrero de 2025, la Agencia Española de Protección de Datos (AEPD) inició un procedimiento sancionatorio en contra de una empresa, luego de recibir dos reclamaciones por parte de trabajadores que indicaban que esta había revelado su identidad como denunciante y denunciado en un proceso de acoso laboral, divulgando sus nombres y apellidos.
En efecto, el origen de este conflicto se dio a raíz de una denuncia por acoso laboral que presentaron cinco trabajadores en contra de 10 denunciados, a propósito de la cual la empresa decidió abrir la respectiva investigación interna.
De este modo, el 31 de julio de 2024 dicho empleador envió un correo electrónico al Comité de Empresa informando que daba por finalizada la investigación, adjuntando la respectiva resolución a cada una de las cinco personas denunciantes y a los 10 denunciados, revelando así la identidad de cada uno de ellos y exponiendo sus nombres, apellidos y puestos de trabajo.
Por esta razón, la parte reclamante sostenía que, en definitiva, todo el centro de trabajo sabía que era una de las denunciantes y, asimismo, que conocía a todos los denunciados, siendo que ella no había autorizado que se divulgara su identidad, lo que generó que uno de los denunciados publicara en un grupo de trabajo de WhatsApp (el mismo día del conocimiento de la resolución), un emoji de beso junto con la frase: “Gracias por la denuncia”.
Por su parte, la empresa —al plantear su defensa—, sostuvo, fundamentalmente, que no era posible apreciar una infracción a la Ley de Datos Personales, ya que todos los interesados estaban al tanto de todas las identidades de los afectados desde el principio y, además, dado que la denuncia que dio origen al procedimiento interno de investigación por acoso había sido planteada ante el Comité de Empresa, sin invocarse el derecho al anonimato de los denunciantes, ni tampoco haber sido solicitado por ellos.
De esta forma, la AEPD centró el análisis no en la licitud de la investigación interna en sí misma, sino en la forma en que la empresa comunicó el cierre del procedimiento.
En particular, estimó que existían indicios suficientes de una vulneración del principio de integridad y confidencialidad, debido a que la empresa permitió que denunciantes y denunciados accedieran a la identidad de todos los intervinientes en el procedimiento, exponiendo información especialmente sensible en el contexto de una denuncia por acoso laboral.
Así, el problema jurídico del caso no radicó en la procedencia de tramitar la denuncia, sino en la falta de resguardo de la confidencialidad de quienes participaron en ella.
Sobre lo anterior, termina proponiendo —atendida la gravedad de la posible infracción y el nivel de negligencia del empleador—, la imposición de una multa administrativa, efectiva, proporcional y disuasoria ascendente a €200.000, además de la adopción de medidas correctivas, si proceden (en este caso, que la empresa adopte, en un plazo de tres meses, las medidas adecuadas para garantizar la confidencialidad de los datos personales).
Finalmente, es del caso señalar que, ante la decisión de iniciar un procedimiento sancionatorio que, adoptado por la AEPD, la empresa optó por asumir su responsabilidad, ello con el propósito de reducir la cuantía de la multa impuesta, pagando en definitiva la suma de €120.000.
Así las cosas, este caso resulta especialmente interesante como referencia comparada desde la experiencia española, más aún considerando que a partir del próximo 1 de diciembre de 2026 entrará en vigencia en nuestro país la Ley N° 21.719, que regula la protección y el tratamiento de datos personales y crea la Agencia de Protección de Datos Personales, autoridad que cumplirá un rol equivalente al que actualmente ejerce la AEPD en España.
En ese contexto, se trata de un caso plenamente extrapolable a Chile, particularmente en el marco de la Ley Karin, pues aun cuando exista una habilitación legal para tratar datos personales en el curso de investigaciones por acoso laboral, ello no releva al empleador del deber de cumplir estrictamente con los principios de confidencialidad y seguridad que rigen todo tratamiento de datos.
De ello se sigue que la sola existencia de una base normativa que permita investigar no basta por sí sola, sino que también resulta indispensable contar con políticas internas claras, canales de denuncia seguros, protocolos de acceso restringido y resguardos efectivos que eviten la exposición indebida de información especialmente sensible.
Si necesitas más información, escríbenos a contacto@compliancelatam.legal.
27-04-2026 | Albagli Zaliasnik, Opinión
La entrada en vigencia de la nueva Ley de Protección de Datos Personales en Chile marcará un cambio relevante en la forma en que las empresas gestionan la información. Sin embargo, más allá de los ajustes regulatorios que introduce la norma, el verdadero desafío para las organizaciones durante 2026 será otro: lograr que el cumplimiento legal y la implementación tecnológica avancen de manera coordinada.
Por Antonia Nudman, Asociada Senior de az Tech; y Yoab Bitrán, Director del Grupo Compliance de Albagli Zaliasnik
En muchas compañías, los proyectos de cumplimiento normativo suelen abordarse principalmente desde las áreas legales o de compliance. Esto es comprensible: son estas áreas las que interpretan la normativa, definen obligaciones y elaboran políticas internas. Sin embargo, en materia de protección de datos, ese enfoque resulta incompleto si no se articula de forma estrecha con las áreas tecnológicas.
La razón es simple. Mientras el área legal define qué exige la ley —por ejemplo, principios de tratamiento, bases de licitud, deberes de información o medidas de seguridad—, son las áreas de tecnología las que deben traducir esas exigencias en prácticas concretas dentro de los sistemas, plataformas y procesos de la organización. En otras palabras, el cumplimiento jurídico requiere necesariamente una implementación técnica para hacerse efectivo.
Esto se vuelve particularmente evidente en aspectos como la gestión de accesos a bases de datos, la trazabilidad de los tratamientos, la implementación de medidas de seguridad, la gestión de incidentes o la eliminación segura de información. Todos estos elementos forman parte del cumplimiento normativo, pero su ejecución depende en gran medida de la arquitectura tecnológica de la empresa.
Por ello, uno de los principales desafíos para las organizaciones en este nuevo escenario será construir puentes entre ambos mundos. El cumplimiento en protección de datos no puede ser únicamente un ejercicio documental ni tampoco exclusivamente tecnológico: requiere una coordinación permanente entre quienes interpretan la norma y quienes diseñan e implementan los sistemas.
En este contexto, el rol del asesor también evoluciona. Ya no basta con entregar una interpretación jurídica de la ley o con elaborar políticas y documentos de cumplimiento. La implementación efectiva exige abordar el proceso desde ambas dimensiones: la normativa y la técnica. En ese sentido, el asesor debe contar con una sólida mirada legal y, deseablemente, también con conocimientos en seguridad de la información que le permitan dialogar con los equipos tecnológicos de la organización. Solo así es posible acompañar adecuadamente el proceso de implementación, abordándolo tanto desde la lógica normativa (la teoría) como desde la realidad operativa de los sistemas (la práctica).
Precisamente por lo anterior, es cada vez más común que los equipos de asesoría externa incorporen perfiles interdisciplinarios, sumando ingenieros o especialistas en seguridad de la información que permitan abordar la implementación desde una perspectiva integral y faciliten la coordinación entre las áreas legales y tecnológicas de las organizaciones.
En definitiva, la nueva regulación plantea un desafío que es tanto organizacional como técnico. Aquellas empresas que logren integrar adecuadamente el trabajo de sus áreas legales y tecnológicas no solo estarán mejor preparadas para cumplir con la ley, sino también para gestionar de manera responsable uno de los recursos más sensibles de la economía digital: la información personal de las personas.
Antonia Nudman, Asociada Senior de az Tech; y Yoab Bitran, Director del Grupo Compliance en Albagli Zaliasnik
Fuente: Revista Gerencia – marzo 2026.
Si tienes consultas, escríbenos a contacto@compliancelatam.legal.com.
